CE - IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI Parere 4/2006 - WP121 (Controllo delle malattie trasmissibili - Proposta 42 CFR Parti 70 - 71) Adottato il 14 giugno 2006 SINTESI Il parere del Gruppo di lavoro Articolo 29 è una riflessione sulla nuova proposta legislativa degli Stati Uniti relativa alla raccolta delle informazioni sui passeggeri da parte delle compagnie aeree e di navigazione per il controllo delle malattie trasmissibili (Controllo delle malattie trasmissibili - Proposta 42 CFR Parti 70 - 71). Se attuata, la proposta degli Stati Uniti imporrebbe alcuni obblighi generali alle compagnie aeree e di navigazione europee e in particolare l’applicazione delle seguenti misure: 1) la raccolta e la conservazione per 60 giorni nell’UE di una serie di dati relativi a tutti i passeggeri che si recano negli Stati Uniti in aereo attualmente non compresi né nei dati PNR delle compagnie, né nel loro sistema di controllo delle partenze (DCS), come i numeri da contattare per le emergenze, gli indirizzi e-mail, le persone che li accompagnano e informazioni sul volo di ritorno per poterli rintracciare successivamente; 2) l’invio in formato elettronico di queste informazioni direttamente al direttore del Centro per la prevenzione e il controllo delle malattie (CDC) statunitense nelle dodici ore successive alla richiesta. Il Gruppo di lavoro Articolo 29 ritiene che la lotta contro le malattie trasmissibili sia un importante obiettivo comune a tutti gli Stati e che meriti quindi il maggior sostegno possibile. È nell’interesse generale contenere la propagazione delle malattie e usare tecniche moderne nella lotta contro i flagelli che colpiscono vaste aree del mondo. D’altro canto, il gruppo di lavoro Articolo 29 ritiene che si debba rispettare il diritto fondamentale alla protezione dei dati personali quando si adottano misure per combattere le malattie trasmissibili, e che qualsiasi misura debba essere proporzionata. Il diritto alla protezione dei dati personali e la lotta contro le malattie trasmissibili non sono in contraddizione tra loro, bensì possono andare di pari passo se si adotta un approccio equilibrato. Il presente parere esamina attentamente le disposizioni previste nella nuova proposta di legge statunitense e le analizza alla luce non soltanto della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, ma anche del regolamento sanitario internazionale dell’OMS (2005) che non ha carattere vincolante ma mira a sostenere gli Stati nella lotta contro le malattie trasmissibili. Il Gruppo di lavoro Articolo 29 giunge alla conclusione che, se attuata nella sua attuale versione, la proposta statunitense sarebbe in contrasto con le pertinenti disposizioni sulla vita privata della direttiva europea 95/46/CE sulla protezione dei dati e con il regolamento sanitario internazionale dell’OMS (2005). * * * IL GRUPPO DI LAVORO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati1, in particolare gli articoli 29 e 30, paragrafo 1, lettera b), visto il regolamento interno del Gruppo di lavoro2, in particolare gli articoli 12 e 14, HA ADOTTATO IL SEGUENTE PARERE: 1. CONTESTO Il "Dipartimento della sanità e dei servizi umani" degli Stati Uniti d’America ha pubblicato una Comunicazione di proposta di legge nel Registro federale (Vol. 70, N. 229, 30 novembre 2005; Controllo delle malattie trasmissibili-Proposta 42 CFR Parti 70 e 71; in prosieguo: "la proposta statunitense"). La proposta riguarda la prevenzione del contagio e della diffusione di malattie trasmissibili negli Stati Uniti. La proposta statunitense intende modificare la "Public Health Service Act" (42 U.S.C. 264-271), parti 70 e 71. L’ultima parte riguarda i passeggeri in arrivo dall’estero. Le modifiche proposte per le parti 70 e 71 mirano a chiarire e a rafforzare le procedure attuali per permettere ai Centri per la prevenzione e il controllo delle malattie (CDC) di fare fronte più efficacemente alla minaccia attuale ed eventuale di contagio. La sezione 71.10 relativa alle informazioni sui passeggeri contiene disposizioni volte ad identificare le persone che potrebbero essere state esposte a malattie trasmissibili, per sottoporle a cure mediche immediate impedendo così la propagazione della malattia attraverso il contagio diretto. La sezione 71.10 (a) stabilisce che ogni compagnia aerea o di navigazione che effettui un viaggio internazionale verso un aeroporto o un porto degli Stati Uniti deve chiedere ad ogni passeggero e membro dell’equipaggio le seguenti informazioni: (1) generalità (nome, cognome, secondo nome, iniziale del secondo nome, suffisso); (2) informazioni sui numeri da contattare in caso d’emergenza; (3) indirizzo e-mail; (4) recapito attuale (via, interno, città, Stato/provincia, codice postale); (5) numero di passaporto o numero del biglietto, con l’indicazione del paese o dell’organizzazione che lo hanno rilasciato; (6) nome dei compagni di viaggio o del gruppo di cui si fa parte; (7) informazioni relative al volo o allo scalo; (8) volo di ritorno (data, numero della compagnia aerea e numero del volo) o scalo/scali di ritorno e (9) almeno uno dei seguenti numeri di telefono aggiornati, in ordine di preferenza: cellulare, telefono fisso, cercapersone o recapito telefonico sul luogo di lavoro (sezione 71.10 (e)). Inoltre, il direttore del CDC (che è competente per l’attuazione della parte 71) può chiedere altri dati non specificati, eventualmente in possesso della compagnia aerea o di navigazione, se necessari per prevenire l’introduzione, la trasmissione o la propagazione di malattie trasmissibili (Sezione 71.10 (f)). Le informazioni raccolte dalle compagnie devono essere conservate dalle stesse per 60 giorni a decorrere dal termine del viaggio (Sezione 17.10 (b)). Le compagnie aeree e di navigazione provvederanno ad informare i passeggeri delle finalità per cui vengono raccolti i dati all’atto della prenotazione del viaggio (Sezione 71.10 (i)). Le informazioni raccolte ai sensi della Sezione 71.10 possono essere utilizzate soltanto ai fini per i quali sono state raccolte (Sezione 71.10 (h)). Entro dodici ore dalla richiesta inviata dal direttore alle corrispondenti agenzie, la compagnia aerea o di navigazione trasmette per via elettronica al direttore del CDC i dati richiesti appartenenti alle suddette categorie (Sezione 71.10 (d)), conformemente ad un piano scritto approvato ai sensi della Sezione 71. 11. In caso di inosservanza, le autorità statunitensi possono irrogare sanzioni alle compagnie interessate. 2. COMPATIBILITÀ DELLA PROPOSTA CON LA DIRETTIVA 95/46/CE 2.1. Applicazione della direttiva La direttiva è applicabile in quanto le informazioni richieste comportano il trattamento interamente o parzialmente automatizzato di dati personali. Le eccezioni di cui all’articolo 3, paragrafo 2 della direttiva non si applicano poiché la proposta statunitense riguarda la tutela della salute pubblica, ma non i trattamenti di dati personali effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull’Unione europea e comunque i trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale. 2.2. Raccolta dei dati nell’UE L’obbligo che si vorrebbe imporre alle compagnie di trasporto con sede nell’Unione europea di raccogliere i dati personali dei passeggeri e di terzi e di conservarli per 60 giorni viola le disposizioni della direttiva 95/46/CE sulla protezione dei dati perché questo trattamento è da considerarsi non necessario e finanche eccedente (articolo 6, paragrafo 1, lettera c)) e pertanto contrario ai principi di minimizzazione e di economia dei dati: • La proposta non sembra tenere pienamente conto della quantità di dati personali già messi a disposizione di altre autorità statunitensi nel quadro dei controlli attuali in materia di immigrazione e di ingressi, come le carte di sbarco, le schede nominative dei passeggeri (dati PNR) o i dati del Sistema di informazione anticipata sui passeggeri ("Advanced Passenger Information System"- APIS) (che fornisce, per esempio, le generalità dei passeggeri ed altre informazioni relative al passaporto), che possono essere scambiati a determinate condizioni. La proposta non tiene neppure conto di altri metodi riconosciuti a livello internazionale per la raccolta diretta di informazioni sui passeggeri, come le schede per il rintraccio di passeggeri in rapporto ad esigenze di salute pubblica. • La proposta statunitense costringerebbe le compagnie aeree a raccogliere dati specifici sui loro passeggeri senza alcun riferimento a una minaccia precisa e definita dal punto di vista della salute pubblica, cioè senza che ciò sia necessario a fini specifici e senza la prevedibilità giuridica di un fattore scatenante. Ciò non sarebbe conforme né all’articolo 6 della direttiva né alle definizioni di cui all’articolo 1 del regolamento sanitario internazionale (2005)3, che fa riferimento ad una "emergenza sanitaria pubblica di rilevanza internazionale"4. • La proposta non prevede la possibilità, contemplata all’articolo 7, lettera a) della direttiva, del consenso inequivocabile del passeggero (insieme ai requisiti in materia di informazione indicati nella direttiva5). Conformemente all’articolo 2, lettera h) della direttiva, per ‘consenso’ si intende qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata —in questo caso il passeggero- accetta che i dati personali che la riguardano siano oggetto di un trattamento. • L’articolo 7, lettera c) della direttiva non si applica alla proposta statunitense perché il trattamento non è necessario per adempiere un obbligo legale imposto al responsabile del trattamento (compagnie aeree) dalla normativa comunitaria o di uno Stato membro, bensì un obbligo legale imposto dagli Stati Uniti d’America. Un obbligo imposto da una legge o da una normativa straniera, non istituito attraverso uno strumento internazionale, non può configurare un obbligo giuridico che legittimi il trattamento dei dati nell’UE. Qualsiasi altra interpretazione permetterebbe a norme straniere di eludere facilmente le norme UE previste nella direttiva 95/46/CE. Una base giuridica diversa da un accordo o da un trattato internazionale potrebbe consistere anche nell’impegno di uno Stato a seguire volontariamente le direttive di un organismo internazionale come l’OMS, per esempio il regolamento sanitario internazionale (2005). • L’articolo 7, lettera d) della direttiva non si applica alla proposta statunitense perché il trattamento non è necessario per la salvaguardia dell’interesse vitale della persona interessata in assenza di un’emergenza sanitaria pubblica rilevante quale può configurarsi se si sospetta che un passeggero abbia già contratto una malattia trasmissibile ai sensi dell’articolo 1 e dell’articolo 30 del regolamento sanitario internazionale (2005)6, o rischi di contrarla. • L’articolo 7, lettera e) della direttiva non si applica alla proposta statunitense perché il trattamento non è necessario per l’esecuzione di un compito di interesse pubblico di uno Stato membro, essendo nell’esclusivo interesse degli Stati Uniti, a meno che il trattamento sia necessario in virtù degli obblighi previsti in uno strumento internazionale. Tuttavia, un interesse pubblico di questo tipo potrebbe essere un’emergenza sanitaria pubblica di rilevanza internazionale che riguarderebbe anche le autorità competenti dell’UE. Soltanto in questo caso, in combinato disposto con gli articoli 6 e 7 del regolamento sanitario internazionale (2005)7, un trasferimento di dati, per esempio attraverso le autorità sanitarie competenti8, sarebbe compatibile con l’articolo 7, lettera e) della direttiva. • L’articolo 7, lettera f) potrebbe applicarsi alla proposta statunitense se il trattamento fosse necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento, cioè delle compagnie aeree, oppure dei terzi cui vengono comunicati i dati. Tale motivazione sarebbe però accettabile soltanto a condizione "che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona". L’articolo 7, lettera (f) richiede un bilanciamento tra l’interesse legittimo perseguito con il trattamento di dati personali e i diritti fondamentali delle persone interessate. Tale bilanciamento di interessi deve tenere conto dei concetti di proporzionalità, sussidiarietà, gravità della specifica minaccia per la salute pubblica cui occorre fare fronte e delle conseguenze per le persone interessate. Nel contesto del suddetto bilanciamento di interessi, dovranno essere previste anche adeguate garanzie. In particolare, l’articolo 14 della Direttiva 95/46/CE prevede che, quando i dati sono trattati sulla base dell’articolo 7, lettera f), le persone interessate hanno il diritto di opporsi in qualsiasi momento, per motivi preminenti e legittimi, al trattamento di dati che li riguardano. 2.2.2 Natura dei dati e periodo di conservazione • La proposta statunitense imporrebbe un obbligo generale di conservare i dati personali per 60 giorni a prescindere dalle differenze tra le diverse malattie trasmissibili per quanto riguarda tempo di incubazione e modalità di trasmissione. Dato che questo obbligo non si riferisce ad alcuna malattia specifica, non è chiaro da un punto di vista medico se i termini per la conservazione dei dati, nelle modalità proposte, siano adeguati per i diversi tipi di malattia. Se si tiene conto dei periodi di incubazione, in alcuni casi potrebbero essere troppo lunghi, in altri casi troppo brevi. • Conformemente alle modifiche proposte alla Sezione 71.10 (f), il Centro per la prevenzione e il controllo delle malattie (CDC) potrebbe chiedere altre informazioni non meglio specificate sui passeggeri, e ciò non sarebbe conforme all’articolo 239 del regolamento sanitario internazionale (2005) che stabilisce chiaramente quali informazioni possono essere richieste dalle autorità sanitarie competenti. 2.3. Trasferimento dei dati dall’UE agli Stati Uniti d’America L’obbligo per i vettori dell’UE di trasferire i dati personali agli Stati Uniti su richiesta del direttore del Centro per la prevenzione e il controllo delle malattie viola le disposizioni della direttiva 95/46/CE sulla protezione dei dati, poiché tale trasferimento non ha alcuna base giuridica ai sensi dell’articolo 26. • Non vi è stata alcuna constatazione favorevole agli USA quanto alla sussistenza di un adeguato livello di protezione dei dati personali, come richiesto all’articolo 25, paragrafo 6 della direttiva. • Tenuto conto dei diversi obiettivi della raccolta di dati relativi a passeggeri, non è applicabile alcuno schema giuridico vigente10 tra Unione europea e Stati Uniti: né l’accordo sui dati PNR che è stato annullato dalla Corte di giustizia delle Comunità europee il 30 maggio 200611, né il programma ‘Approdo sicuro’. • In deroga all’articolo 25 della direttiva, il trasferimento di dati personali ad un paese terzo che non garantisce un livello di protezione adeguato ai sensi dell’articolo 25, paragrafo 2) può avvenire a condizione che la persona interessata abbia manifestato il proprio consenso a tale trasferimento — intendendosi con ciò un consenso manifestato liberamente, specifico, ed informato, come richiesto all’articolo 2, lettera h) della direttiva — in maniera inequivocabile. La proposta statunitense non prevede questa possibilità. L’articolo 26, lettera d) della direttiva non si applica poiché il trasferimento non è necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante di uno Stato membro dell’UE, bensì è chiesto nell’esclusivo interesse degli Stati Uniti, a meno che il trasferimento sia basato su accordi sanitari internazionali che prevedano misure sanitarie armonizzate a livello internazionale o europeo, per esempio ai sensi dell’articolo 212 e dell’articolo 3513 del regolamento sanitario internazionale (2005), nel rispetto di specifiche condizioni. 3. ALTRE QUESTIONI • Informativa ai passeggeri: la proposta statunitense comporta alcuni dati che attualmente non sono raccolti e/o conservati dai vettori di trasporto, il che implica che questi ultimi saranno tenuti ad organizzarne la raccolta e la conservazione al solo scopo di ottemperare alle disposizioni statunitensi. Va inoltre sottolineato che non è chiaro se i diritti dei passeggeri saranno pienamente rispettati in caso di applicazione della proposta. Per quanto risulti che le compagnie aeree e di navigazione sarebbero tenute a informare le persone interessate in merito alla raccolta ed alla conservazione dei rispettivi dati (Sezione 71.10 (d)), sussistono dubbi riguardo al modo in cui queste informazioni sarebbero fornite ed alla correttezza delle informazioni offerte ai passeggeri rispetto ai diritti fondamentali loro riconosciuti di ottenere accesso e riparazione, ai sensi degli articoli 10, 11 e 12 della direttiva, a prescindere dal fatto che i dati siano soltanto conservati nelle banche dati delle compagnie ovvero trasferiti su richiesta al CDC. • Il regolamento sanitario internazionale (2005) dell’OMS prevede condizioni specifiche per il trattamento dei dati personali: l’articolo 45 stabilisce che le informazioni sanitarie relative ad una persona identificata o identificabile devono rimanere riservate e devono essere elaborate in modo anonimo. Soltanto se indispensabile ai fini della valutazione e della gestione di un rischio per la salute pubblica, quale definito nel regolamento sanitario internazionale (2005), gli Stati Parti e l’OMS possono trattare dati personali. Tuttavia, entrambi devono garantire che i dati personali siano: (a) trattati lealmente e lecitamente e successivamente trattati in modo non incompatibile con le suddette finalità; (b) adeguati, pertinenti e non eccedenti in relazione alle suddette finalità; (c) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per garantire che i dati inesatti o incompleti siano cancellati o rettificati; e (d) conservati solo per il periodo necessario. 4. CONCLUSIONI La volontà degli Stati di introdurre misure nazionali che consentano di tenere sotto controllo la diffusione di malattie trasmissibili è un importante obiettivo condiviso su base generale, ed ogni iniziativa in tal senso merita il massimo sostegno. Molti dei temi esaminati nel presente parere esulano dalla competenza delle compagnie aeree e devono essere affrontati dagli Stati membri dell’UE e, se necessario, dalla Commissione europea. Per quanto riguarda i viaggi internazionali, il Gruppo di lavoro preferisce soluzioni globali piuttosto che richieste e misure imposte unilateralmente. Ha espresso questo punto di vista in precedenti pareri relativi alle richieste avanzate da diversi paesi di fornire dati PNR per la lotta contro il terrorismo e altri gravi crimini a carattere transnazionale. 1. Il Gruppo di lavoro ritiene che la lotta contro le malattie trasmissibili vada di pari passo con la protezione e la promozione dei diritti fondamentali, come il diritto fondamentale alla protezione dei dati personali. Ritiene, inoltre, che debbano essere presi in considerazione anche gli aspetti economici e che i costi per la raccolta e il trattamento dei dati personali dovrebbero essere commisurati. 2. Le norme sulla protezione dei dati personali non vietano alle autorità sanitarie di trattare le informazioni personali necessarie ad impedire l’introduzione, la trasmissione o la propagazione di malattie trasmissibili. 3. In presenza di un rischio sanitario riconosciuto e reale, la stessa direttiva 95/46/CE sulla protezione dei dati offre numerosi presupposti per il trattamento legittimo dei dati personali, anche quelli sensibili relativi alle condizioni di salute: se, per esempio, la persona interessata ha manifestato il proprio consenso liberamente ed in modo informato, o se il trattamento è necessario per la salvaguardia dell’interesse vitale della persona interessata o dei diritti e delle libertà altrui (cfr. articolo 7, lettere a) e d), e articolo 13, lettera g), della direttiva). 4. Per impedire la diffusione di malattie trasmissibili, può rendersi necessario rintracciare i passeggeri in casi specifici per motivi di salute pubblica. In passato, in caso di minaccia per la salute pubblica, come per la sindrome respiratoria acuta grave (Severe Acute Respiratory Syndrome - SARS), ciò è avvenuto chiedendo ai passeggeri dei voli sospetti di riempire un apposito modulo (la cosiddetta "scheda di rintraccio") attraverso il quale erano raccolte direttamente le informazioni necessarie. 5. Viceversa, la proposta statunitense sulla raccolta da parte delle compagnie aeree di informazioni sui passeggeri per impedire l’introduzione di malattie trasmissibili negli Stati Uniti comporterebbe una divulgazione delle informazioni sproporzionata e sistematica da parte delle compagnie aeree, che sono tenute a rispettare le condizioni previste nella direttiva 95/46/CE. 6. Per quanto riguarda i diritti dei passeggeri, non è chiaro se la proposta statunitense rispetti pienamente le disposizioni degli articoli 10, 11 e 12 della direttiva, cioè il diritto ad un’informazione adeguata, il diritto di accesso e il diritto di ottenere riparazione. 7. Pertanto, il Gruppo di lavoro ritiene che, se adottata nella sua versione attuale, la proposta statunitense sarebbe in contrasto con la direttiva 95/46/CE sulla protezione dei dati. 8. Inoltre, il Gruppo di lavoro ritiene che la proposta statunitense, se adottata nella sua versione attuale, sarebbe in contrasto anche con i regolamenti e le linee guida pubblicati dall’OMS, in particolare con il regolamento sanitario internazionale (2005). 9. Il Gruppo di lavoro invita quindi gli Stati ad adoperarsi nel quadro attuale degli accordi internazionali per assicurare un approccio coerente che preveda anche garanzie essenziali in materia di protezione dei dati. Bruxelles, 14 giugno 2006 Per il Gruppo di lavoro Il Presidente Peter SCHAAR NOTE 1 GU L 281, 23.11.1995, pag. 31, (in prosieguo ‘la direttiva’); disponibile presso: |